Falha na ACryptoS drena US$ 665 mil e encerra protocolo
📋 Resumo
Uma falha nos cofres de liquidez concentrada da ACryptoS permitiu que 135 endereços retirassem cerca de US$ 665 mil em cinco redes. O protocolo bloqueou novos depósitos, manteve os saques abertos e anunciou que será descontinuado. Usuários ainda expostos devem retirar os fundos diretamente pelos canais oficiais.
A ACryptoS anunciou o encerramento de suas operações depois que uma falha em cofres de liquidez concentrada permitiu a retirada de aproximadamente US$ 665 mil. O ataque atingiu 77 de 126 cofres distribuídos por Arbitrum, BNB Chain, Polygon, Base e Optimism ao longo de 8 de novembro.
Segundo o post-mortem publicado pela própria ACryptoS, todos os cofres afetados passaram a rejeitar novos depósitos às 16h40 UTC. Os saques continuam disponíveis, mas a equipe afirmou que não pretende corrigir e reabrir o produto. A orientação oficial é que os usuários retirem os ativos remanescentes.
Falha permitiu criar ações demais dos cofres
O problema estava na função depositMulti, usada para depositar ativos nos cofres baseados em Uniswap V3, SushiSwap V3, PancakeSwap v3 e Biswap v3. O contrato não verificava se a lista de valores enviada pelo usuário tinha uma entrada para cada token do cofre.
Em um cofre de dois ativos, um invasor podia enviar apenas um valor. O contrato então calculava incorretamente o patrimônio existente usando somente o primeiro token, ignorando o segundo. Quando a maior parte da liquidez estava concentrada nesse ativo desconsiderado, um depósito pequeno recebia uma parcela desproporcional das ações do cofre.
Logo depois, o invasor executava um saque e recebia a fatia correspondente dos dois tokens. Em uma reprodução feita pela equipe em um fork da Polygon, um depósito de 10 USDC gerou 66,84% das ações de um cofre e permitiu retirar quase 48,6 mil USDT0, além de recuperar praticamente todo o USDC inicial.
A ACryptoS afirmou que não houve manipulação do preço dos pools.
📋 Resumo
Uma falha nos cofres de liquidez concentrada da ACryptoS permitiu que 135 endereços retirassem cerca de US$ 665 mil em cinco redes. O protocolo bloqueou novos depósitos, manteve os saques abertos e anunciou que será descontinuado. Usuários ainda expostos devem retirar os fundos diretamente pelos canais oficiais.
A ACryptoS anunciou o encerramento de suas operações depois que uma falha em cofres de liquidez concentrada permitiu a retirada de aproximadamente US$ 665 mil. O ataque atingiu 77 de 126 cofres distribuídos por Arbitrum, BNB Chain, Polygon, Base e Optimism ao longo de 8 de novembro.
Segundo o post-mortem publicado pela própria ACryptoS, todos os cofres afetados passaram a rejeitar novos depósitos às 16h40 UTC. Os saques continuam disponíveis, mas a equipe afirmou que não pretende corrigir e reabrir o produto. A orientação oficial é que os usuários retirem os ativos remanescentes.
Falha permitiu criar ações demais dos cofres
O problema estava na função depositMulti, usada para depositar ativos nos cofres baseados em Uniswap V3, SushiSwap V3, PancakeSwap v3 e Biswap v3. O contrato não verificava se a lista de valores enviada pelo usuário tinha uma entrada para cada token do cofre.
Em um cofre de dois ativos, um invasor podia enviar apenas um valor. O contrato então calculava incorretamente o patrimônio existente usando somente o primeiro token, ignorando o segundo. Quando a maior parte da liquidez estava concentrada nesse ativo desconsiderado, um depósito pequeno recebia uma parcela desproporcional das ações do cofre.
Logo depois, o invasor executava um saque e recebia a fatia correspondente dos dois tokens. Em uma reprodução feita pela equipe em um fork da Polygon, um depósito de 10 USDC gerou 66,84% das ações de um cofre e permitiu retirar quase 48,6 mil USDT0, além de recuperar praticamente todo o USDC inicial.
A ACryptoS afirmou que não houve manipulação do preço dos pools.